Privacyverklaring

A1Wat wij van jou verwerken, en waarom

Als je iets niet invult: naam, e-mailadres en betaalgegevens hebben wij nodig om je een account te kunnen geven. Zonder die gegevens kunnen wij de dienst niet leveren. De rest is optioneel.

A2Wat wij niet doen

Dit staat er expliciet, omdat het vaker een vraag is dan je zou denken.

• ×Wij verkopen je gegevens niet, aan niemand, nooit.
• ×Wij gebruiken de inhoud van jouw voorstellen en de gegevens van jouw klanten niet om AI-modellen te trainen, niet die van onszelf en niet die van anderen.
• ×Wij gebruiken jouw voorstellen niet voor onze eigen marketing, tenzij je daar apart en schriftelijk toestemming voor geeft.
• ×Wij nemen geen besluiten over jou die volledig door een computer worden genomen en die rechtsgevolgen voor je hebben (artikel 22 AVG).
• ×Wij kijken niet mee in jouw voorstellen, behalve als jij ons daar bij een supportvraag om vraagt, als er een onderbouwde melding van misbruik ligt, of als wij daar wettelijk toe worden verplicht.

A3Wat er gebeurt als je stopt

Wil je eerder gewist worden, dan kan dat. Mail ons en wij doen het, met uitzondering van wat wij wettelijk moeten bewaren en van het ondertekenbewijs. Zolang er nog geen knop voor is, doen wij het met de hand, binnen vijf werkdagen en zonder kosten.

Eén voorstel dat je niet zelf kunt wissen

Zolang een voorstel niet is ondertekend, verwijder je het in je dashboard wanneer je wilt en is het weg. Is het wél ondertekend, dan weigert het systeem het verwijderen. Je kunt zo'n voorstel dan archiveren: het verdwijnt uit je overzicht en de ondertekening blijft bestaan. Die knop staat vandaag nog niet in je overzicht, alleen in onze koppelingen. Zolang dat zo is, archiveren wij een voorstel op je verzoek, binnen vijf werkdagen.

De reden is dat een handtekening alleen iets waard is zolang het spoor eromheen bestaat. Zou jij dat spoor met één klik kunnen wissen, dan had je klant er niets aan, en andersom net zo goed. Dit beschermt dus ook jou: jij kunt later aantonen wat er precies is afgesproken. Zie B4 voor wat er in dat bewijs zit en hoe lang wij het bewaren.

A4Jouw rechten

Je hebt de volgende rechten. Ze staan in de AVG, artikel 15 tot en met 22.

Hoe je dat doet

Mail naar support@gosellmate.com. Zet in je mail wat je wilt en vanaf welk e-mailadres je account loopt.

• –Wij reageren binnen een maand. Is je verzoek ingewikkeld, dan mogen wij die termijn met twee maanden verlengen. Wij laten je dat binnen die eerste maand weten, met de reden erbij (artikel 12 lid 3 AVG).
• –Het kost je niets. Alleen bij verzoeken die duidelijk ongegrond of buitensporig zijn, mogen wij kosten rekenen of weigeren (artikel 12 lid 5 AVG).
• –Wij kunnen je vragen jezelf te identificeren als wij twijfelen wie je bent. Dat is om te voorkomen dat wij jouw gegevens aan iemand anders geven.

A5Waar je kunt klagen

Ben je niet tevreden over hoe wij met je gegevens omgaan, laat het ons eerst weten. Wij lossen het liever zelf op. Kom je er met ons niet uit, dan mag je een klacht indienen bij de Nederlandse toezichthouder.

Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag. Klachtformulier: klachten.autoriteitpersoonsgegevens.nl.

Je mag ook naar de rechter. Dat recht heb je naast de klacht bij de toezichthouder, niet in plaats daarvan (artikel 79 AVG).

A6Cookies en meten op onze website

Wij gebruiken alleen noodzakelijke cookies. Meer niet.

Die zijn er voor inloggen en beveiliging. Daar hebben wij geen toestemming voor nodig, en je kunt de dienst zonder die cookies niet gebruiken. Wat er níet staat, is net zo belangrijk: geen Google Analytics, geen advertentiepixels, geen sessieopnames, geen profielopbouw, en geen lettertypen die van een server van iemand anders komen. Onze lettertypen staan op ons eigen domein.

Daarom zie je bij ons ook geen cookiebanner. Zo'n banner is er om iets te kunnen weigeren, en er valt hier niets te weigeren. Zetten wij ooit wel iets anders in, dan komt die keuze er eerst, met een weigerknop die net zo makkelijk werkt als de accepteerknop.

B1Het belangrijkste in vier zinnen

1. 1.Het voorstel dat je bekijkt, komt van een ondernemer of bedrijf. Niet van ons.
2. 2.Wij, GoSellMate, leveren alleen de software waarmee dat voorstel is gemaakt en verstuurd.
3. 3.Die afzender bepaalt welke gegevens hij van jou verwerkt en waarom. Wij doen dat in zijn opdracht, en wij mogen niets anders met jouw gegevens doen dan wat hij ons opdraagt.
4. 4.Heb je een vraag of een verzoek over je gegevens, ga dan naar de afzender van het voorstel. Niet naar ons. Zijn naam en contactgegevens staan in het voorstel dat je hebt ontvangen.

In de taal van de wet: de afzender is verwerkingsverantwoordelijke en wij zijn verwerker (artikel 4 lid 7 en lid 8 AVG). Dat klinkt formeel, maar het komt neer op iets simpels. Jij hebt een relatie met de afzender. Met ons heb je die niet.

B2Welke gegevens worden vastgelegd

Als je het voorstel opent

Meer niet. Bij het openen leggen wij géén IP-adres en géén browsergegevens vast. Wij meten dit aan onze eigen kant, op de server. Wij zetten hier niets voor op jouw telefoon of computer en wij lezen niets van je apparaat uit.

Als je akkoord geeft en tekent

Op dat moment leggen wij meer vast.

Waarom dit allemaal nodig is: een handtekening op papier heeft waarde omdat je hem kunt zien en vergelijken. Bij een digitale handtekening werkt dat anders. Daar zit de waarde in het spoor eromheen: wie, wanneer, vanaf waar, en op welk document precies. Zonder dat spoor is een digitale handtekening moeilijk te bewijzen, en dan heb je er allebei niets aan. Dit beschermt dus niet alleen de afzender. Jij kunt er net zo goed mee aantonen wat je precies wel en niet hebt getekend.

Wat er verder in het voorstel staat

De inhoud van het voorstel is van de afzender. Wat hij daarin over jou schrijft, bepaalt hij. Wij bewaren dat en tonen het aan jou, maar wij lezen niet mee en wij gebruiken het nergens anders voor.

B3Wat er niet gebeurt op de voorstelpagina

Op de pagina waar jij het voorstel bekijkt, laden wij zelf niets van buiten. Concreet betekent dat:

• ×geen Facebook- of Instagram-pixel, geen LinkedIn-tag, geen Google Analytics
• ×geen advertentiecookies, geen profielopbouw, geen hertargeting
• ×geen sessieopnames en geen software die je muisbewegingen volgt
• ×geen chatwidget van een andere partij
• ×geen lettertypen of iconen die van een server van iemand anders worden gehaald

Wij vinden dat vanzelfsprekend. Jij hebt bij ons nergens ja op gezegd. Je hebt op een link geklikt van iemand die je vertrouwt. Dan is het niet aan ons om je daar te laten volgen.

B4Hoe lang gegevens worden bewaard, en het ondertekenbewijs

Waarom het ondertekenbewijs een aparte positie heeft

Dit is het enige punt in deel B waar wij niet alleen namens de afzender handelen, maar ook voor onszelf. Ontstaat er later een discussie of onze software correct heeft geregistreerd wat er is getekend, dan moeten wij dat kunnen laten zien. Ook als de afzender dan geen klant meer bij ons is. Voor dit ene onderdeel zijn wij dus zelf verwerkingsverantwoordelijke.

• –Onze grondslag is ons gerechtvaardigd belang bij bewijs (artikel 6 lid 1 sub f AVG). Dat belang is: kunnen aantonen dat wat er staat, ook echt zo is vastgelegd. Dat belang deel je met de afzender en met ons.
• –De termijn is zeven jaar. Dat sluit aan bij de periode waarin ondernemers hun administratie bewaren, en bij de periode waarin een geschil over een overeenkomst nog kan spelen.
• –Praktisch gevolg: de afzender kan bijna alles laten wissen, maar dit logboek niet zomaar. Dat is uitdrukkelijk zo afgesproken in de verwerkersovereenkomst met hem.

Je mag hier bezwaar tegen maken

Omdat wij dit op ons gerechtvaardigd belang doen, heb je het recht van bezwaar (artikel 21 AVG). Je mag ons dus vragen dit niet te doen. Dan wegen wij jouw belang tegen het onze af en laten wij je weten wat wij doen en waarom. Mail ons daarvoor op support@gosellmate.com.

B5Jouw rechten, en bij wie je moet zijn

Je hebt dezelfde rechten als in A4 staan: inzage, rectificatie, wissen, beperking, overdraagbaarheid en bezwaar. Maar je oefent ze uit bij de afzender van het voorstel, niet bij ons.

Dat is geen afhoudende zin. Zo zit de wet in elkaar, en het is in jouw voordeel. Wij mogen jouw gegevens niet uit eigen beweging wissen of wijzigen, want dan zouden wij handelen buiten de opdracht van onze klant. Dat is ons verboden (artikel 29 AVG). De afzender kan dat wel, en hij heeft de knoppen daarvoor in zijn account zitten.

Mail je ons toch, dan sturen wij je verzoek door naar de afzender en laten wij je weten dat wij dat hebben gedaan. Wij helpen hem vervolgens om je verzoek uit te voeren. Wij beantwoorden het niet zelf.

Weet je niet wie de afzender is? Zijn naam en contactadres staan in het voorstel en in de e-mail waarmee je de link kreeg. Kom je er niet uit, mail ons dan en wij helpen je de juiste partij te vinden.

Eén uitzondering: gaat je vraag over het ondertekenbewijs uit B4, of over de beveiliging van onze software, dan zijn wij wel het juiste adres. Op dat deel zijn wij zelf verantwoordelijk.

B6Wil je meer weten van de afzender?

Vraag hem om zijn eigen privacyverklaring. Daarin hoort te staan dat hij ons als leverancier inschakelt en waarvoor. Dat is zijn verplichting, niet de onze.

C1Welke andere partijen gegevens verwerken

Wij bouwen niet alles zelf. Voor opslag, hosting, e-mail en betalingen werken wij met vier leveranciers. Dat zijn onze subverwerkers. Zij mogen alleen doen wat wij hun opdragen.

Twee dingen die wij er expliciet bij zetten

Eén. Onze mailleverancier is geen EU-oplossing. Wij versturen via de Europese regio, maar dat bepaalt alleen van waar de mail vertrekt. De accountgegevens, de gegevens over de verzending en de logboeken staan in de Verenigde Staten. Wat wij daaraan doen: wij zetten de inhoud van een voorstel niet in de e-mail. Die bevat een korte tekst en een link. Zo gaan alleen een naam en een e-mailadres door de mailketen, en niet de inhoud van het voorstel.

Twee. Onze betaalprovider is niet alleen onze leverancier. Voor betaalgegevens bepaalt hij voor een groot deel zelf wat er gebeurt, omdat hij aan eigen regels moet voldoen rond fraudebestrijding en witwassen. Op dat deel kunnen wij hem geen opdrachten geven en is hij zelf verantwoordelijk.

De actuele lijst, met datum, versienummer en de grond voor doorgifte per partij, staat op de subverwerkerspagina. Komt er een leverancier bij, dan krijgen gebruikers dat minimaal dertig dagen van tevoren te horen en kunnen zij bezwaar maken.

C2Gegevens buiten de Europese Unie

De gegevens zelf staan in Europa: de database en de opslag in Frankfurt, de serverfuncties ook. Toch gaan er gegevens naar landen buiten de EU, want wij zijn zelf in de Verenigde Arabische Emiraten gevestigd en onze vier leveranciers zijn Amerikaanse bedrijven, die voor beheer en support toegang kunnen hebben. De AVG stelt daar eisen aan (hoofdstuk V AVG). Wij gebruiken twee mechanismen.

• –Het EU-US Data Privacy Framework. De Europese Commissie heeft in juli 2023 besloten dat Amerikaanse bedrijven die zich hiervoor hebben gecertificeerd een passend beschermingsniveau bieden.
• –Modelcontractbepalingen. Dit zijn contractclausules die de Europese Commissie heeft vastgesteld en goedgekeurd. Onze leveranciers hebben die opgenomen in hun verwerkersovereenkomst. Wij houden ze aan als terugval, voor het geval het Data Privacy Framework zijn geldigheid verliest.

Wil je een kopie van die afspraken inzien? Mail ons, dan sturen wij ze je toe.

C3Hoe wij de gegevens beveiligen

Wij nemen maatregelen om gegevens te beschermen tegen verlies en tegen toegang door onbevoegden (artikel 32 AVG). Hieronder staat wat er op 18 augustus 2026 is nagemeten in de echte omgeving. Deze lijst noemt alleen maatregelen die op die datum aantoonbaar aanstonden.

• ✓Versleuteling onderweg. Al het verkeer loopt over een beveiligde verbinding (TLS), en een browser mag geen onversleutelde verbinding gebruiken.
• ✓Versleuteling in opslag. De database is versleuteld opgeslagen (AES-256, opgave van de leverancier).
• ✓Strikte scheiding tussen klanten. Elke gebruiker kan alleen bij zijn eigen gegevens. Dat is op databaseniveau afgedwongen, niet alleen in de software.
• ✓Een eigen databaseproject voor Offers, in Frankfurt, los van de andere systemen van GoSellMate.
• ✓Geen directe tabeltoegang vanaf een voorstelpagina. Die pagina haalt precies op wat zij nodig heeft via één afgeschermde ingang, op basis van de code in de link. Een lijst van voorstellen opvragen kan er niet mee.
• ✓Inloggen zonder wachtwoord, met een eenmalige link per e-mail. Er zijn dus geen wachtwoorden die gestolen of hergebruikt kunnen worden.
• ✓Dagelijkse back-up van de database, dagelijks, zeven dagen bewaring.
• ✓Geen echte klantgegevens in test- en ontwikkelomgevingen.
• ✓Grenzen op wat er geüpload kan worden: 2 MB per bestand, alleen png, jpeg en webp. Bestandstypen waar code in kan zitten worden geweigerd, en die grens staat op de opslag zelf en niet alleen in de browser.
• ✓Unieke, niet te raden links naar voorstellen: tien tekens uit een alfabet van tweeëndertig, dus raden is praktisch onmogelijk.

Een uitgebreider beveiligingsoverzicht sturen wij op verzoek toe. Dat is ook wat er in artikel 13 van de verwerkersovereenkomst staat. Wat er in deze lijst niet staat, beloven wij dus ook niet.

C4Als er toch iets misgaat

• –Ben jij gebruiker (deel A) en gaat het om je eigen accountgegevens? Dan melden wij het aan de Autoriteit Persoonsgegevens als dat moet, en wij informeren jou als het waarschijnlijk een hoog risico voor je oplevert (artikel 33 en 34 AVG).
• –Gaat het om gegevens van jouw klanten? Dan zijn wij verwerker. Wij melden het binnen 24 uur na ontdekking aan jou, met de informatie die je nodig hebt om zelf een melding te doen. Jij bent degene die het bij de toezichthouder meldt, want jij bent daar verantwoordelijke.
• –Ben je ontvanger van een voorstel (deel B)? Dan informeren wij de afzender, en die informeert jou als dat nodig is.

C5Wijzigingen in deze verklaring

• –De actuele versie staat altijd op deze pagina, met een versienummer en een datum bovenaan.
• –Bij een belangrijke wijziging krijgen gebruikers een e-mail, minimaal dertig dagen voordat de wijziging ingaat.
• –Wij bewaren oude versies, zodat je kunt terugzien wat er gold op het moment dat jij akkoord gaf.

C6Contact

Vragen over deze verklaring of over je gegevens: mail support@gosellmate.com. Per post: Gosellmate L.L.C-FZ, Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, Verenigde Arabische Emiraten. Onze vertegenwoordiger in de EU is nog aan te wijzen; tot die er is loopt alles via het adres hierboven.

Wij reageren binnen een maand. Meestal veel sneller.